63 亿美元被盗，私钥却完好无损：AI 时代，最软的门是「授权」

• 10 月 28 日：攻击者从混币器 Tornado Cash 分次提取 ETH，准备手续费；
• 10 月 29 日：部署「清扫合约」，并用自己的钱包完整演练了两遍授权流程；
• 10 月 30 日凌晨 4:20：提交 50 条 EIP-7702 授权交易——全部由币安热钱包自己的私钥合法签署；
• 4:24：一笔 sweep() 从 Binance 14 扫走 167,464 枚 ETH 和 16.15 亿 USDT；24 秒后 Binance 16 沦陷；40 分钟内，10 条链上的资产被同时搬空，随即自毁工具、抹掉痕迹。

币安丢的不是私钥，是签名管道的独立性——攻击者劫持了「有权让钱包签字」的内部链路：一名 DevOps 工程师的笔记本电脑被入侵 → 控制服务容器 → 诱导币安自己的签名系统签下恶意授权。

1. 权限分级失灵——一台工程师的笔记本，居然能直通热钱包签名服务，没有隔离；
2. 检测全程失明——攻击者进场筹备、演练两遍、耗时 48 小时，无一次告警；
3. 签名没有语义校验——「把整个热钱包的控制权委托给一个陌生合约」这种高危操作，被当成普通交易签了。50 条连续编号的批量授权，本身就是尖叫级异常。

EIP-7702 本是以太坊 2025 年升级里的「账户抽象」好功能：让普通钱包能把执行权委托给合约代码，从而获得批量操作、手续费代付、限额、社交恢复等智能能力。

• 正常剧本：用户自己签，委托给自己选定的、审计过的合约 → 能力升级；
• 币安剧本：签名系统被劫持，攻击者的合约被塞进授权清单 → 一键接管。

越聪明的东西，越要先回答「谁有权教它做事」。

因为 AI Agent 正在成为你身边那个「服务容器」：它有权替你调工具、发邮件、整理数据、执行支付。它越能干，你给它的授权越大。

行业安全公司 Immunefi 的 CEO 说，AI 已经把攻防的天平推向攻击者——24 小时扫代码批量找漏洞、精准渗透运维链路。马斯克那句 "Everyday is Zeroday" 不是玩笑。

今天的 AI 安全，核心问题已经不是「密钥放在哪」，而是「谁有权让它签字」。一旦 Agent 的授权链被劫持，币安剧本随时可以有个人版、企业版。

传统授权模式的危险在于「把控制权交出去」——托管、无限授权、给自动化流程绑大额账户，任何一环出事就是全损。币安热钱包就是极端形态：一个钱包堆 63 亿，授权链一断，一笔交易全部扫走。

新兴的 x402 支付协议给出了另一个方向——调用级授权：

• 每张支付凭证金额封顶（比如 $0.10 一笔）；
• 收款方在签名时固定，凭证不可重放、不可改金额；
• 私钥只做一件事：为「这一笔」签名，没有任何「委托控制权」的能力。

同样场景下，那 50 条恶意授权，会在第一张凭证就止步于单笔金额。

1. 私钥、密钥、凭据，永不放进联网服务器或自动化容器——币安的坑就是「能签名的服务被入侵」；
2. 大额与自动化物理隔离——AI Agent 和自动化流程只配专用小额账户；
3. 授权分级审批——普通操作可以自动，「委托控制权」级别的动作必须人工复核 + 白名单；
4. 盯住尖叫级信号——批量授权、连续 nonce、陌生合约地址、非工作时间的签名请求；
5. 最小权限原则——任何 AI / 自动化流程，只给它完成工作所需的最小权限。